日志异常检测

要解决的问题

在持续集成与生产环境中，错误日志往往不是均匀出现，而是集中在某段时间突然飙升。如果只看单行日志，很容易淹没在正常输出里，等到用户反馈才发现问题已经扩大。这个技能面向的是缺少统一日志异常监控的场景：人工盯日志耗时长、阈值设定不合理导致告警噪声大、夜间问题无人及时处理。

核心能力与工作方式

技能会先读取 log_paths 指定的日志文件，按时间窗口切片，再用 error_patterns 匹配 ERROR、Exception、timeout 等异常。它会比较当前错误率与 baseline_window 内的历史基线，并根据 warning_threshold 与 critical_threshold 输出告警等级。发现异常时，会附带 sample_limit 条样例、聚类时间段和建议排查路径，方便快速定位问题范围。

适用边界与注意点

• 需要配置准确的 error_patterns 与基线窗口，否则可能漏报或误报。
• 基线不足时，技能会降级为固定阈值，并在结果中标记低置信度。
• 修改告警阈值、删除日志或重启服务前，必须进行人工确认。
• 日志样例会自动脱敏 token、邮箱和用户标识，但不应上传完整敏感日志。